ランサムウェアに標的型攻撃手法を求めるのは間違っているだろうか
セキュアワークス株式会社
玉田 清貴
山崎 景太
中津留 勇
2020/01/17
Japan Security Analyst Conference 2020
0Classification: //Secureworks/Public Use

Agenda• 標的型ランサムウェアインシデントの概要• 標的型ランサムウェアインシデント事例• 標的型ランサムウェアインシデントの調査結果• Tactics, Techniques, and Procedures• 侵入• 掌握(権限昇格、情報収集、横展開)• 脅迫• 痕跡消去• 標的型攻撃との比較• 推奨する対策• 予防、インシデントレスポンス、事後対応など• まとめと今後の脅威の展望予測
1
Classification: //Secureworks/Public Use

標的型ランサムウェアインシデントの概要

2Classification: //Secureworks/Public Useランサムウェアを利用した攻撃手法の変化

Wannacry (2017/05)

2017
Wannacry による大規模インシデント
CryptoLocker(2013/09)~2017
メール添付やドライブバイダウンロードにより感染

3Classification: //Secureworks/Public Use

MS17-010 の脆弱性のある公開サーバ経由で組織内ネットワーク内に感染拡大

2018~
ネットワーク内での様々な侵害行為を伴うケースが発生
組織の規模やリピート数に応じて復号価格が変動

標的型ランサムウェアインシデントの典型
侵入• 広範囲に攻撃を行い、侵入できる組織を探す

掌握• 権限昇格, 情報収集, 横展開を行い、可能な限り組織のネットワークを掌握する

脅迫• ランサムウェアを用いて大規模な暗号化を実施

痕跡削除• ランサムウェアの機能やコマンド・ツールを用いて痕跡を消去する
4
Classification: //Secureworks/Public Use

標的型ランサムウェアインシデント事例

5Classification: //Secureworks/Public Use本セクションは会場のみの公開になります6
Classification: //Secureworks/Public Use

標的型ランサムウェアインシデントの調査結果

7
Classification: //Secureworks/Public Use

Tactics, Techniques, and Procedures
標的型ランサムウェアインシデントの調査結果

8
Classification: //Secureworks/Public Use

侵入の手法侵入掌握• 権限昇格、情報収集、横展開

脅迫

痕跡削除

9
Classification: //Secureworks/Public Use• 国内・海外事例で確認• 公開されているRDPやVPN経由• NLBruteなどのブルートフォースツールを利用して脆弱なパスワードを突破• メールに添付されたマルウェア経由• Emotet経由(その後TrickBotをダウンロード)• 国内事例のみで確認• グローバルIPが割り当てられたモバイルデータ通信端末 + MS17-010 の脆弱性
• 海外事例のみで確認• Dridex(Bugat v5)経由• CobaltStrike経由• Empire経由• Meterpreter経由

NLBrute
IPリスト、ユーザ名リスト、パスワードリストを用意してブルートフォースを実施するツール

10
Classification: //Secureworks/Public Use権限昇格の手法
侵入掌握• 権限昇格、情報収集、横展開

脅迫

痕跡削除

11
Classification: //Secureworks/Public Use• 国内・海外事例で確認• Mimikatzを利用したパスワードダンプ• TrickBotやEmpireなどのモジュールを利用• 侵入時のアカウントが管理者権限であることが多い• 国内事例のみで確認• Githubに公開されている特定の脆弱性のPoCツールを利用MS16-032
https://github.com/SecWiki/windows-kernel-exploits

12
Classification: //Secureworks/Public UseTrickBotのMimikatzモジュール

13
Classification: //Secureworks/Public Use

情報収集の手法
侵入掌握• 権限昇格、情報収集、横展開

脅迫

痕跡削除

14
Classification: //Secureworks/Public Use• 国内・海外事例で確認• マルウェアの機能を用いたスキャンおよび情報収集を実施• 国内事例のみで確認• Advanced IP ScannerやAdvanced Port
Scanner、SoftPerfect Network Scanner、ProcessHacker、KPortScan3、PowerToolsなどを利用• 海外事例のみで確認• Hyenaを利用• BloodHoundやSharpHoundを利用したAD
探索

Advanced IP Scannerhttps://www.advanced-ip-scanner.com/jp/

15
Classification: //Secureworks/Public Use

PCHunter
https://www.bleepingcomputer.com/download/pc-hunter/

16
Classification: //Secureworks/Public Use

BloodHound/SharpHoundhttps://github.com/BloodHoundAD/BloodHound• Active Directory 環境における隠れた関係と攻撃パスを明らかにするツール• NW上のPC/サーバにおけるユーザ名、コンピュータ名、グループ、ドメイン、OUなどの情報を集約し関連性を可視化し、ADサーバへの攻撃経路を特定することが可能• SharpHound は BloodHound IngestorのC#バージョン• 高速・安定に動作する
引用: https://wald0.com/?p=6817
Classification: //Secureworks/Public Use

NS.exe (NetworkShare)
NW共有フォルダ探索ツール

18
Classification: //Secureworks/Public Use

横展開の手法
侵入掌握• 権限昇格、情報収集、横展開

脅迫

痕跡削除

19
Classification: //Secureworks/Public Use• 国内・海外事例で確認• RDPやPsExec、WMI経由で実施• 国内事例のみで確認• MRemoteNG、MRemoteNCやPutty、Ammyy Adminなどを利用• bruttolineを利用したブルートフォースによるパスワード突破の実施• 海外事例のみで確認• EmpireやCobaltStrike、reGeorgを利用

mRemoteNG
https://mremoteng.org/, https://github.com/mRemoteNG/mRemoteNG

20Classification: //Secureworks/Public Use

Ammyy Admin
http://www.ammyy.com/en/

引用: http://www.ammyy.com/en/admin_screenshots.html
21
Classification: //Secureworks/Public Use脅迫の手法侵入掌握• 権限昇格、情報収集、横展開

脅迫

痕跡削除

22
Classification: //Secureworks/Public Use• 国内・海外事例で確認• PsExecやRDP、WMIを利用して1台ずつランサムウェアを実行• RATやpost-exploitation frameworkの機能によりランサムウェアを展開・実行• バッチファイルやPowershellスクリプトを利用• ADサーバ経由でグループポリシーやログオンスクリプトを用いてドメイン配下の端末にランサムウェアを一斉配信• ランサムウェアの種類は様々

ADサーバからのランサムウェア配信
グループポリシを使用してランサムウェアを一斉配信する

23
Classification: //Secureworks/Public UseADサーバからのランサムウェア配信
ログオンスクリプトを利用したランサムウェアの自動実行

24Classification: //Secureworks/Public Use

利用されるランサムウェアの種類

25
Classification: //Secureworks/Public Use

MatrixPhobos

GandCrab

GlobeImposter

Clop

DharmaRyuk

MedusaLocker

Frendi

CrySiS

ScarabSamsamBitPaymer

Defray777

REvil/ Sodinokibi

rsa.exe /aes.exeランサムウェアの代表的な機能
ファイル暗号化• RSA-2048, RSA-4096とAES-256の組み合わせ• ファイル中のデータを高速なAESで暗号化して、利用したAES秘密鍵をRSA公開鍵で暗号化する

暗号化範囲拡大• A-Zドライブの探索• NW共有フォルダ、管理共有などの探索• FW無効化

復号、フォレンジック対策• VSS消去• スタートアップ修復の無効化

脅迫文の表示26Classification: //Secureworks/Public Use

コマンドラインツール rsa.exe
ランサムウェアだが暗号化ツールに近い

27Classification: //Secureworks/Public Use

コマンドラインツール rsa.exe
Usage の無いバージョンなど複数存在
Usage が無いバージョン（引数をつけなければ暗号化を行う）

Usage があるバージョン

28
Classification: //Secureworks/Public Use

感染範囲拡大、復号対策時に利用される
コマンド例• 感染範囲拡大• "netsh advfirewall set currentprofile state off"
• "netsh firewall set opmode mode=disable“• 復号対策• “wbadmin DELETE SYSTEMSTATEBACKUP -keepVersions:0”• "vssadmin delete shadows /all /quiet"• "wmic shadowcopy delete /nointeractive"• "bcdedit /set {default} bootstatuspolicy ignoreallfailures"• "bcdedit /set {default} recoveryenabled no“• 証拠隠蔽
• "C:¥Windows¥system32¥cmd.exe" /c del <マルウェア実行パス>¥<マル
ウェア名> > nul
29Classification: //Secureworks/Public Useランサムウェアにハードコードされたコマンド
MedusaLocker

30
Classification: //Secureworks/Public Use脅迫文
ビットコインの振り込みではなく、直接コンタクトを要求する形が主流

ランサムウェアが作成する脅迫文だけでなく、メモ帳で手入力しているケースも31
Classification: //Secureworks/Public Use痕跡消去の手法
侵入掌握• 権限昇格、情報収集、横展開

脅迫

痕跡削除

32
Classification: //Secureworks/Public Use• 国内・海外事例で確認• ランサムウェアの機能でVSS消去、FW無効化• sdelete.exe –p 5 <FileName>でファイル削除• pslog.exe -c securityなどの実施• 国内・国外ともに痕跡消去を行っていないケースも多数ある• ランサムウェアの動作により一部レジストリ/イベン
トログ/その他ファイルの暗号化によって副次的に痕跡が消去される• 国内事例のみで確認• xDedicLogCleanerの利用

PowerShellを用いたセキュリティ製品のアンインストール• 実行履歴• C:¥Users¥<UserName>¥AppData¥Roaming¥Microsoft¥Windows¥PowerShell¥PSReadline¥ConsoleHost_history.txt• コマンド• (Get-WmiObject -Class Win32_Product -Filter"Name='Symantec Endpoint Protection'" ComputerName . ).Uninstall()• (Get-WmiObject -Class Win32_Product -Filter"Name='Endpoint Protection'" -ComputerName . ).Uninstall()

33
Classification: //Secureworks/Public Use

xDedicLogCleaner
ワンクリックでPC内の様々な履歴を消去

34
Classification: //Secureworks/Public Use

標的型攻撃との比較
標的型ランサムウェアインシデントの調査結果

35
Classification: //Secureworks/Public Use

各事例における攻撃の流れ
事例によって大きく異なる TTPs
侵入掌握

脅迫

痕跡削除

国内・海外1

メール (Emotet)

TrickBot

Ryuk

N/A

国内2

RDP

MS16-032, NLBrute, Advanced IP Scanner, AmmyAdmin,
NetworkShare.exe

Matrix

N/A

国内3

RDP

Advanced Port Scanner, ProcessHacker
NetworkShare.exe

Phobos

N/A

国内4

RDP

PCHunter, ProcessHacker, Mimikatz

Phobos

N/A

国内5

RDP

KPortScan3, SoftPerfectNetworkScanner, Powertools,
mRemoteNG, Bruttoline, Putty, ProcessHacker, Mimikatz

GandCrab

xDedicLogCleaner

国内6VPN

PsExecDomainUser 一覧表示バッチファイル

rsa.exe

pslog.exe
sdelete.exe

国内7RDPPsExec

GlobeImposter2.0

N/A

海外2

RDP

Hyena, Mimikatz, WMIexec, reGeorg

SamsamN/A

海外3

メール (Dridex)

Empire,PsExec

BitPaymer

N/A

海外4

メール

CobaltStrike, Meterpreter, SharpHoundDefray777

N/A

36
Classification: //Secureworks/Public Use

標的型攻撃に対する標的型ランサムウェアの特徴• 様々な組織に侵入を試み、セキュリティ対策が甘く、ランサムウェアの展開が容易な標的に対して攻撃を行う• パスワード突破の際にブルートフォースを多用する• フリーツールを多用して標的システムの掌握を行う• ADサーバのソフトウェアインストールやログオンスクリプトなどのグループポリシの機能を活用する• 利用するランサムウェアが多用で、種類やバージョンの入れ替わりが速い• 海外事例は標的型攻撃 (ペネトレーションテスト) の TTPs に近い事例が多い

37
Classification: //Secureworks/Public Use推奨する対策

38
Classification: //Secureworks/Public Useインシデント発生前の準備
以下の観点で、対策・計画を準備する

1. 攻撃の妨害
2. 検知と初期封じ込め
3. 被害発生後の対応
39
Classification: //Secureworks/Public Use

1. 攻撃の妨害• 「侵入」、「掌握」、「脅迫」を防止するための対策を実装し、攻撃成功までのコストを上げる• 標的型攻撃と異なり、攻撃が容易な組織で被害が発生・拡大する「侵入」の対策• FW(ネットワーク, パーソナル, セキュリティグループ for クラウド等)• VPN及びその他ネットワーク機器「掌握」の対策• ネットワークセグメンテーションとア
クセス制御• アプリケーションホワイトリスト等「脅迫」の対策• 適切なデータアクセス制限• 安全なバックアップの取得・保管• ファイル暗号化の検知・防御がの脆弱性管理• 管理アカウント管理の徹底

可能なエンドポイントセキュリティ• メールセキュリティ• ドメインコントローラの保護の導入• アンチウイルス40
Classification: //Secureworks/Public Use

2. 検知と初期封じ込め• 既存のセキュリティ製品でも、何らかのインシデント発生の兆候が検知可能• 標的型攻撃と異なり、攻撃のステルス性は低い• 暗号化させないための迅速な初期封じ込めが必要• 初期封じ込めの計画策定が重要
セキュリティアラートの監視

アラートから脅威種別を識別する

迅速な初期封じ込め計画の策定• アンチウイルス• EDR• 発見されたマルウェア・攻撃ツール• メール• 高い権限のアカウントの利用• 管理アカウントの使用• VPN• インターネット接続の予防的な遮断• 「掌握」に関わる活動• 管理アカウントのパスワードリセット

41
Classification: //Secureworks/Public Use

種別• 侵害端末の隔離• 社内ネットワークの予防的な遮断3. 被害発生後の対応• 取得・保管したバックアップから事業影響を踏まえて迅速に復旧を実施するために計画が必要• ただバックアップを取得しておくだけでは不十分• 標的型攻撃と同様に、調査・封じ込め・根絶の各プロセスについても計画を事前に策定しておく必要がある
暗号化被害の復旧計画の策定「調査」、「封じ込め」、「根絶」計画の策定• システム復旧の優先順位• 人員・体制・コスト• 目標復旧時間の明確化• 許容される対応時間• コールドスタンバイなシステムの用意• 各ステージで達成すべき対応の目標• 復旧を行うための人員・手順書• 具体的なタスク・手順の整備

42Classification: //Secureworks/Public Useインシデント対応のプロセスとポイント①状況把握②初期封じ込め③対応計画を作る• アラート/ヒアリングから• 短時間で実施可能な• インシデントの状況に合現状を正確に認識す

被害の抑制・封じ込め

わせて、復旧完了までるを行うの具体的な対応計画を立てる④調査・ハンティング• 攻撃の原因・手法の特定• 隠れた侵害範囲の特
定

⑦復旧

⑥根絶

⑤封じ込め

• 停止したシステム・ネッ• 侵害端末・設定の排• インシデントの発生・拡除大原因の対処トワークの復旧• 再攻撃の監視

43
Classification: //Secureworks/Public Use

事業継続と安全性のバランス• 業務停止に直結するため、システムの復旧が優先される場合がほとんど• 先のインシデント対応プロセスをStep By Stepで実施できない ケースも• 限られた時間の中で、事業継続と安全性のバランスを取った対応プランを立案する必要がある• 攻撃の再発や被害の拡大を防ぐために、最低限抑えるべきポイントは何か？

国内・海外のインシデント事例/対応事例を、広くインシデントハンドラーに共有し、ベストプラクティスを醸成することが特に重要
44
Classification: //Secureworks/Public Use

被害拡大・再発防止のための重要ポイント
攻撃者の継続的なアクセ掌握活動

ス方法を特定し遮断するの妨害・緩和• リモートアクセス経路の• 窃取されたアカウントの特定・遮断• 脆弱性の解消• RAT感染端末の特定と遮断

45Classification: //Secureworks/Public Use

リセット

全社的な監視と調査• EDR、イベントログ、クライアント管理ソフトウェア、• 各サーバ・端末のアクセ

アンチウイルス等の活用

ス可能なポート・サービス• 調査により判明したIOCの制限を反映

具体的な対応の事例
①状況把握

②初期
封じ込め46Classification: //Secureworks/Public Use• ヒアリング• 異なる日時に、2回ランサムウェアによる暗号化が発生したことが判明• 後に発生した暗号化ではログオンスクリプトが悪用されていることが判明• AV検知ログの調査• SMB/RDPのブルートフォースツールの検知• インターネット接続の遮断• ドメイン管理者アカウントのパスワードリセット• ログオンスクリプトの修正

具体的な対応の事例③対応計画を作る
Phase 1 - 一定の安全性を担保するための対策を行い、48時間以内にネットワーク復旧・業務を再開する• 侵入経路(根本原因)の特定と対策• Lateral Movement手法の特定と緩和策の実装• ドメインコントローラの安全性の確認• EDRによる全社監視体制の構築
Phase 2 - インシデントの全容解明とより強固な再発防止を行う• 侵害されたサーバ・端末の詳細フォレンジック• IoCの更新とEDRによる継続監視• 不足している対策の実装
47
Classification: //Secureworks/Public Use具体的な対応の事例④調査・分析イベントログの分析• 不正利用された管理者アカウントの特定• ログイン元IPアドレス(VPN)の特定• 攻撃者による活動(不正ファイル名、実行履歴、etc)の特定クライアント管理ソフトウェアの利用• IOC情報の抽出• mstsc及びPsExec悪用の確認

ドメインコントローラの安全確認• クイックトリアージ(Persistence, Memory, FileSystem, ProgramExecution)• RAT及び継続的に侵入されるバックドア有無の確認

EDRによる全社ハンティング体制の構
築48Classification: //Secureworks/Public Use• ネットワークに再接続する端末については緊急導入を必須に• 発見したIOCをシグネチャとして利用

具体的な対応の事例⑤封じ込め• VPN接続元IPアドレスの制限・証明書認証の必須化• ネットワーク機器の脆弱性解消• RDP/SMB接続可能な端末・サーバの制限• 侵害されたドメインアカウント/ドメイン管理者アカウントのパスワードリセット• Golden Ticketの無効化• 既存の攻撃ツールの検知・実行防止⑥根絶• 侵害された端末/サーバのセーフバックアップからの復元• ※RATの利用等がなかったため、継続的なアクセスの危険性は低49Classification: //Secureworks/Public Useまとめと今後の脅威の展望予測

50
Classification: //Secureworks/Public Use

2020年及び今後の国内ランサム(ウェア)
侵入 – 海外事例に追随• インターネットから直接脆弱なデバイス(オンプレ/クラウド)に侵入されるケースは今後も継続する• メール経由で拡散する別種のマルウェア(Emotet等)からの被害が日本国内でも増加する• 境界防御が適切に行われている組織でもインシデントが増加する

掌握 – より標的型攻撃に近い手法の採用• 攻撃者の変化に伴い、RATの利用/BloodHound等の攻撃ツールの利用事例が国内でも増加すると予想• RATが利用されることで、根絶・終息がより困難に• 一度データを復旧しても、継続的に繰り返し暗号化被害が発生するインシデントが起こりうる51
Classification: //Secureworks/Public Use

2020年及び今後の国内ランサム(ウェア)
脅迫 – ファイルの暗号化以外の方法の採用• 可用性への攻撃• 全ドメインアカウントのパスワード変更(攻撃者が)• 各種サーバのファイル削除や設定変更によるシステム稼働の妨害• 機密性への攻撃• 知的財産/研究開発情報/個人情報等の機密情報を取得し、公開と引き換えに脅迫を行う事例も日本へ
• 完全性への攻撃• データベースやファイルの「一部」書き換えによる業務妨害等
52
Classification: //Secureworks/Public Useランサムウェアに標的型攻撃手法を求めるのは間違っているだろうか”標的型”？
• 攻撃者は特定の組織を狙って暗号化や金銭の窃取をしているわけではない• 広範囲の攻撃の上で、セキュリティが弱く、金銭を多く窃取できそうな組織で被害発生• 攻撃を断片的に見ると標的型攻撃と同じ手法はあるが、全体的な攻撃の流れとしては独自の特徴がある
ランサム”ウェア”？
• ランサムウェアは金銭搾取のために脅迫を行うための一つの手段に過ぎない• 金銭に繋がる脅迫方法があれば、ランサム”ウェア” である必要はない• ランサムウェアに加えて、そこに至るまでの攻撃のプロセス (侵入、掌握) を把握・遮断することがインシデント対応では重要53Classification: //Secureworks/Public Use

IoC
マルウェア・ツール名

SHA-256 ハッシュ値

NLBrute1.2

E21569CDFAFBBDD98234EF8AFCC4A8486D2C6BA77A87A57B4730EB4A8BD63BC2NS.exe

F47E3555461472F23AB4766E4D5B6F6FD260E335A6ABC31B860E569A720A5446

KPortScan3080C6108C3BD0F8A43D5647DB36DC434032842339F0BA38AD1FF62F72999C4E5SoftPerfect Network Scanner

66C488C1C9916603FC6D7EC00470D30E6F5E3597AD9F8E5CE96A8AF7566F6D89

MS16-032

9F023D74CF5E16A231660805ADFC829C1BE24A6B1FA6CB3ED41F0E37FE95062B
9AFAE820C8F7ED5616A4523A45968CFDABF646C5151A9C1DB1A6E36D7A9D1E11rsa.exe

48303E1B50B5D2A0CC817F1EC7FA10C891F368897B0AEA2D02F22701D169CE54
E6CCB71FD62783DE625CBFCDAE1836B9FFB33B0E2344D709F5B6C5B2E6EAC8D8mRemoteNC

3BC3038749427E1D6DA05FD3972A86F3403B40102974BD241A233EBD2C3B8C5CmRemoteNG

9476FE1896669163248747785FA053ACA7284949945ABD37C59DAE4184760D58

Ammyy Admin

5FC600351BADE74C2791FC526BCA6BB606355CC65E5253F7F791254DB58EE7FA
A0C996178FAA8320948D886F47EF394C712F1E5DC0F7C8867CD4BB1DB5F2A266

xDedicLogCleaner

878706CD11B5223C89AAEF08887B92A655A25B7C630950AFFA553574A60B922E

Advanced IP Scanner

02EC949206023F22FE1A5B67B3864D6A653CC4C5BFCB32241ECF802F213805E8PCHunter

D1AA0CEB01CCA76A88F9EE0C5817D24E7A15AD40768430373AE3009A619E2691

54
Classification: //Secureworks/Public Use

55Classification: //Secureworks/Public Use